Regolamento DORA e adeguamento della normativa nazionale

Di Antonio Pezzuto, ex Dirigente della Banca d’Italia

”” ”” ””

ABSTRACT:

Dopo un lungo iter legislativo, nel corso del 2022 sono stati approvati il Regolamento (UE) 2022/2554 (Digital Operational Resilience Act, DORA) e la Direttiva (UE) 2022/2556 sulla resilienza operativa digitale del settore finanziario. I suddetti atti normativi, insieme al Regolamento (UE) 2023/1114 sui mercati delle cripto-attività  (Markets in Crypto-assets, MiCA) e al Regolamento (UE) 2022/858 su un regime “pilota” per le infrastrutture di mercato basate sulla tecnologia “distributed ledger” (DLT Regime Pilot), fanno parte del Digital Finance Package presentato dalla Commissione europea il 24 settembre 2020 con l’obiettivo di ridurre la frammentazione del mercato, promuovere la concorrenza e favorire l’innovazione, contenendone i rischi legati alla stabilità  finanziaria, alla protezione dei consumatori e al riciclaggio di denaro.

”” ”” ””

 

Entrato in vigore il 16 gennaio 2023, il Regolamento DORA mira a favorire l’armonizzazione dei requisiti di resilienza digitale per tutto il sistema finanziario. Il framework si applica, a partire dal 17 gennaio 2025, a un novero ampio di entità  finanziarie regolamentate, quali enti creditizi, istituti di pagamento, istituti di moneta elettronica, imprese di investimento, fornitori di servizi per le cripto-attività , depositari centrali di titoli, controparti centrali, sedi di negoziazione, repertori di dati sulle negoziazioni, gestori di fondi di investimento alternativi, società  di gestione, fornitori di servizi di comunicazione dati, imprese di assicurazione e di riassicurazione, intermediari assicurativi, enti pensionistici aziendali o professionali, agenzie di rating del credito, revisori legali e società  di revisione, fornitori di servizi di crowdfunding, repertori di dati sulle cartolarizzazioni. Il Regolamento si applica anche ai fornitori di servizi di tecnologie dell’informazione e della comunicazione.

I pilastri principali su cui poggia il Regolamento in esame sono essenzialmente cinque:

1. gestione del rischio ICT (ICT risk management): adozione di un quadro di governance e organizzazione interna volto a garantire una gestione efficace e prudente di tutti i rischi informatici, che migliori il livello di resilienza operativa digitale. A tal fine, l’organo di amministrazione dell’ente finanziario è chiamato a definire e approvare le disposizioni relative al suddetto framework, del quale è pienamente responsabile, nonché ad adottare un sistema per la gestione dei rischi informatici solido, esaustivo e adeguatamente documentato, che comprenda almeno strategie, politiche, procedure, protocolli e strumenti in materia di ITC necessari per proteggere i patrimoni informativi e le risorse ITC. La responsabilità  della gestione e della sorveglianza è attribuita a una funzione di controllo, in possesso di adeguata indipendenza. Il quadro di gestione dei rischi informatici deve essere sottoposto periodicamente a verifiche di audit interne e riesaminato almeno una volta l’anno, in occasione di gravi incidenti informatici o in seguito a indicazioni dell’autorità  di vigilanza;
2. segnalazione degli incidenti informatici (ICT incident reporting): creazione di un sistema di segnalazione degli incidenti ICT e delle minacce informatiche, al fine di notificarli alle autorità  competenti. Nel merito, si richiede agli operatori finanziari di i) approntare procedure per identificare, tracciare, registrare, categorizzare e classificare gli incidenti ICT in base alla loro priorità , gravità  e criticità  dei servizi colpiti; ii) assegnare ruoli e responsabilità  al personale; iii) elaborare piani per la comunicazione al personale, ai stakeholders, ai mezzi di comunicazione e ai clienti; iv) stabilire procedure di risposta agli incidenti occorsi per attenuarne l’impatto e garantirne tempestivamente l’operatività  e la sicurezza dei servizi;
3. test di resilienza operativa: svolgimento di prove avanzate di resilienza operativa dei sistemi ICT[1], secondo un approccio basato sul rischio e proporzionale rispetto alle dimensioni, alla tipologia di attività  e al profilo di rischio dell’operatore finanziario. Ciò al fine di identificare punti deboli, carenze o lacune, nonché per verificare la capacità  di attuare tempestivamente misure correttive;
4. gestione del rischio legato alle terze parti ICT: adozione di una strategia per i rischi informatici derivanti da terze parti (third-party providers), in particolare quelli relativi ai servizi a supporto di funzioni essenziali o importanti. Oltre a ciò, è richiesto alle entità  finanziarie di: i) redigere un registro di informazioni su tutti gli accordi contrattuali conclusi con i fornitori di servizi ITC; ii) informare l’autorità  competente in ordine alla stipula di nuovi contratti per la fornitura di servizi ITC; iii) prevedere clausole negoziali che consentano la risoluzione del contratto con il fornitore in caso rilevante violazione, da parte del fornitore terzo di servizi ITC, di leggi o regolamenti, circostanze che alterano l’esercizio delle funzioni previsto a norma dell’accordo contrattuale, difficoltà  da parte del fornitore nella gestione dei rischi informatici, in particolare in materia di gestione dei dati (personali e non); iv) definizione di strategie di uscita e migrazione per i servizi a supporto di funzioni essenziali o importanti, in caso di problemi legati, ad esempio, al deterioramento della qualità  dei servizi ITC forniti;
5. information sharing: istituzione di meccanismi di condivisione delle informazioni e delle analisi delle minacce informatiche. Si riconosce alle entità  finanziarie di scambiarsi reciprocamente informazioni sulle minacce informatiche per rafforzare la resilienza operativa digitale. La volontà  di partecipazione a meccanismi di condivisione deve essere notificata alle autorità  competenti.

La Direttiva 2022/2556, anch’essa applicabile dal 17 gennaio 2025, modifica una serie di direttive, al fine di adeguarne i contenuti alle previsioni del Regolamento DORA. Tali modifiche si sono rese necessarie in quanto i requisiti connessi con la gestione dei rischi informatici nel settore finanziario contenute nelle direttive emendate sono diversi e talvolta incompleti.

Con atto del Governo sottoposto a parere parlamentare del 7 gennaio 2025 è stato reso noto uno schema di decreto legislativo recante diposizioni volte ad adeguare l’ordinamento nazionale alle previsioni del Regolamento 2022/2554 e a dare attuazione alla correlata Direttiva 2022/2556.

Le novità  più rilevanti introdotte dalla bozza di decreto riguardano i seguenti tre ambiti:

1. il ruolo delle autorità  di vigilanza;
2. l’applicazione del Regolamento agli intermediari finanziari e a Bancoposta, sulla base del principio di proporzionalità ;
3. il regime sanzionatorio.

Con riferimento al punto sub 1), il decreto individua la Banca d’Italia, la Consob, l’IVASS e la COVIP quali autorità  competenti per il rispetto degli obblighi posti a carico dei soggetti vigilati, secondo le rispettive attribuzioni di vigilanza, nonché per le segnalazioni di gravi incidenti ICT occorsi e per le segnalazioni, su base volontaria, di minacce informatiche significative.

La Banca d’Italia è inoltre l’autorità  competente per il rispetto degli obblighi posti a carico di Cassa depositi e prestiti, degli intermediari finanziari e di Bancoposta.

Ai fini della partecipazione al forum di sorveglianza di cui all’art. 32 del Regolamento DORA, la Banca d’Italia è l’autorità  competente interessata di cui al paragrafo 4, lett. b). del richiamato art. 32, mentre la Consob partecipa, in qualità  di osservatore con un proprio rappresentante. A seconda della tematica trattata, potranno partecipare in qualità  di osservatori anche l’IVASS e la COVIP.

Gli operatori del settore bancario e delle infrastrutture dei mercati finanziari sono tenuti a inviare una notifica al CSIRT Italia[2], ossia l’organo dell’Autorità  della cybersicurezza nazionale che ha pure il compito di monitorare gli incidenti a livello nazionale.

L’articolato attribuisce alle autorità , secondo le rispettive competenze, poteri di vigilanza nei confronti delle entità  finanziarie, di Cassa depositi e prestiti, degli intermediari finanziari, di Bancoposta e dei fornitori terzi di servizi ITC a supporto di funzioni essenziali o importanti. Nell’esercizio dei loro poteri, le autorità  possono effettuare accessi e ispezioni presso i fornitori terzi di servizi ITC a supporto di funzioni essenziali o importanti delle entità  finanziarie, di Cassa depositi e prestiti, degli intermediari finanziari e di Bancoposta, nonché convocare gli amministratori i sindaci e il personale dei medesimi fornitori e richiedere loro di fornire informazioni e di esibire atti e documenti. Restano impregiudicati i poteri di cui le predette autorità  sono già  titolari in forza di altre disposizioni di legge.

Quanto al punto sub 2), il decreto dispone che agli intermediari finanziari iscritti all’albo ex art. 106 del TUB si applichi, in via generale, il quadro semplificato per la gestione dei rischi informatici (ITC risk management framework semplificato) previsto per gli operatori finanziari di minori dimensioni o complessità . Tale quadro semplificato deve essere in grado di garantire: i) un costante monitoraggio di tutti i sistemi di ICT; ii) la tempestiva individuazione e rilevazione delle fonti di rischi informatici e delle anomalie dei sistemi informatici; iii) l’implementazione di misure di back-up e ripristino delle funzioni essenziali e relativi test periodici; iv) programmi di formazione e sensibilizzazione sulla sicurezza degli ICT per il personale e la dirigenza.

Agli intermediari finanziari che si qualificano come “microimprese” (che occupano meno di 10 dipendenti e realizzano un fatturato annuo e/o un totale di bilancio annuo inferiore a 2 milioni di euro) si applica una disciplina specifica per l’esecuzione dei test di resilienza operativa digitale.

Si attribuisce alla Banca d’Italia il potere di individuare una categoria di intermediari finanziari da considerarsi “significativi”, nei confronti dei quali trova applicazione l’ICT risk management framework completo, anziché quello semplificato.

Il decreto dispone altresì che il Bancoposta sia soggetto alla stessa disciplina applicabile alle banche, ossia l’ICT risk management framework completo, la disciplina della segnalazione degli incidenti ICT e quella relativa ai test di resilienza operativa digitale.

In relazione al punto sub 3), il decreto delinea un articolato sistema sanzionatorio, stabilendo per le violazioni più gravi, come, ad esempio, quelle in materia di governance, organizzazione e responsabilità  del management, ammende variabili da 30 mila euro al 10 per cento del fatturato.

Sono previste inoltre sanzioni amministrative pecuniarie per i vertici aziendali, cioè coloro che svolgono funzioni di amministrazione, direzione o controllo, e del personale delle società  e degli enti nei confronti dei quali sono accertate le violazioni.

Alle persone che ricoprono posizioni apicali potrà  essere altresì irrogata la sanzione amministrativa accessoria dell’interdizione dallo svolgimento delle funzioni di amministrazione, direzione o controllo, per un periodo non inferiore a sei mesi e non superiore a tre anni.

In vista dell’entrata in vigore del Regolamento DORA, la Banca d’Italia ha pubblicato due Comunicazioni rivolte al mercato.

Con la Comunicazione del 23 dicembre 2024, sono stati sollecitati gli operatori vigilati a eseguire un’autovalutazione del proprio sistema di gestione dei rischi ICT, al fine di assicurare che le politiche, le procedure e gli strumenti in materia di rischio ICT siano adeguati a prevenire, ovvero rilevare tempestivamente violazioni della riservatezza dei dati e/o dei servizi forniti, nonché a ridurre il rischio derivante dai cambiamenti ICT. L’autovalutazione, approvata dall’organo di amministrazione, dovrà  essere effettuata con il supporto delle funzioni di controllo e inviata all’Organo di vigilanza entro il 30 aprile 2025.

Con la Comunicazione del 30 dicembre 2024, è stata richiamata l’attenzione degli operatori al rispetto degli obblighi in materia di sicurezza ICT conseguenti all’applicazione del richiamato Regolamento. In particolare, sono state fornite indicazioni in merito alle seguenti previsioni regolamentari:

• articolo 16: gli intermediari potranno valutare se istituire o confermare un’autonoma funzione di controllo ICT oppure attribuire i compiti di tale funzione a quella di risk management o a quella di compliance. In ogni caso, la funzione di controllo ICT non può essere affidata alla struttura che svolge la funzione di internal audit;
• articolo 28: cessano di avere applicazione i procedimenti amministrativi di divieto dell’esternalizzazione previsti dalla normativa di vigilanza, ove aventi ad oggetto l’esternalizzazione di servizi ICT a supporto di funzioni essenziali o importanti;
• articolo 19: la disciplina vigente in materia di segnalazione di gravi incidenti ICT e di minacce informatiche significative viene abrogata e sostituita dallo schema di notifica introdotto dal Regolamento DORA e dai connessi atti delegati;
• articolo 26: gli esiti dei test avanzati di penetrazione basati su minacce, da condurre con cadenza almeno triennale, saranno incorporati nei processi di supervisione prudenziale.

 

Note:

[1]L’art. 26 del Regolamento DORA prevede che le istituzioni finanziarie classificate come “critiche” (principali banche, infrastrutture di mercato e assicurazioni) svolgano, con periodicità  almeno triennale, test avanzati di cybersicurezza di tipo Threat-Led Penetration Testing (TLTP). I test devono essere condotti da specialisti esterni, in possesso di determinati requisiti (idoneità , reputazione, adeguate capacità  tecniche e organizzative, copertura assicurativa contro i rischi di responsabilità  professionale, ecc.). Una sintesi delle risultanze dei test deve essere portata a conoscenza dell’autorità  competente, unitamente ai piani correttivi e alla documentazione attestante che i TLTP sono stati svolti conformemente agli standard richiesti.

[2] Le informazioni trasmesse al CSIRT Italia sono coperte dal segreto d’ufficio.

---

Le informazioni contenute in questo sito web e nella rivista "Magistra Banca e Finanza" sono fornite solo a scopo informativo e non possono essere ritenute sostitutive di una consulenza legale. Nessun destinatario del contenuto di questo sito, cliente o visitatore, dovrebbe agire o astenersi dall'agire sulla base di qualsiasi contenuto incluso in questo sito senza richiedere una appropriata consulenza legale professionale, da un avvocato autorizzato, con studio dei fatti e delle circostanze del proprio specifico caso legale.